Mas se a RLS estiver bem configurada, o usuário não consegue fazer nenhuma operação suspeita com o acesso da API, somente o que a policy permite.